FSM Gateway 流量管理策略系列：
故障注入
黑白名单访问控制
限速
重试
会话保持
健康检查
负载均衡算法
TLS 上游
双向 TLS
网关开启 mTLS（双向 TLS 验证）的功能是一种高级安全措施，它不仅要求服务器向客户端证明其身份，同样要求客户端提供证书以证实其身份。这种双向验证极大地增强了通信的安全性，确保只有持有有效证书的客户端能与服务器建立连接。mTLS 特别适用于对安全性要求极高的场景，如金融交易、企业内部网络或涉及敏感数据的应用。它提供了一种强化的身份验证机制，有效减少未经授权的访问，同时帮助组织遵守严格的数据保护法规。
通过实施 mTLS，网关不仅保护了数据的安全传输，也为客户端和服务器之间的交互提供了一个更加可靠和安全的环境。
这篇就带大家体验如何在 FSM Gateway 上开启 mTLS，让我们开始吧！
前置条件
- Kubernetes 集群
- kubectl 工具
环境准备
安装 FSM Gateway
FSM Gateway 的安装，可以参考 安装文档。这里选择 CLI 的方式安装。
下载 FSM CLI。
system=$(uname -s | tr '[:upper:]' '[:lower:]')
arch=$(uname -m | sed -E 's/x86_/amd/' | sed -E 's/aarch/arm/')
release=v1.2.0
curl -L https://github.com/flomesh-io/fsm/releases/download/$release/fsm-$release-$system-$arch.tar.gz | tar -vxzf -
./$system-$arch/fsm version
sudo cp ./$system-$arch/fsm /usr/local/bin/fsm在安装 FSM 时启用 FSM Gateway，默认情况是不启用的。
fsm install \
--set=fsm.fsmGateway.enabled=true创建网关 TLS 证书
openssl genrsa 2048 > ca-key.pem
openssl req -new -x509 -nodes -days 365000 \
-key ca-key.pem \
-out ca-cert.pem \
-subj '/CN=flomesh.io'
openssl genrsa -out server-key.pem 2048
openssl req -new -key server-key.pem -out server.csr -subj '/CN=foo.example.com'
openssl x509 -req -in server.csr -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem -days 365使用 CA 证书、服务器证书和密钥创建 Secret server-cert。当网关仅启用 TLS 时，只会用到服务端证书和密钥。
kubectl create namespace httpbin
#TLS cert secret
kubectl create secret generic -n httpbin simple-gateway-cert \
--from-file=tls.crt=./server-cert.pem \
--from-file=tls.key=./server-key.pem \
--from-file=ca.crt=ca-cert.pem部署示例应用
部署 httpbin 服务，并为其创建 TLS 网关和路由。
kubectl apply -n httpbin -f https://raw.githubusercontent.com/flomesh-io/fsm-docs/main/manifests/gateway/tls-termination.yaml使用上面创建的 CA 证书通过网关来访问 httpbin 服务，访问成功。
curl --cacert ca-cert.pem https://foo.example.com/headers --connect-to foo.example.com:443:$GATEWAY_IP:8000
{
"headers": {
"Accept": "*/*",
"Host": "foo.example.com",
"User-Agent": "curl/8.1.2"
}
}网关 mTLS 验证
开启 mTLS
现在参考 GatewayTLSPolicy 文档，为网关开启 mTLS。
kubectl apply -n httpbin -f - <<EOF
apiVersion: gateway.flomesh.io/v1alpha1
kind: GatewayTLSPolicy
metadata:
name: gateway-tls-policy-sample
spec:
targetRef:
group: gateway.networking.k8s.io
kind: Gateway
name: simple-fsm-gateway
namespace: httpbin
ports:
- port: 8000
config:
mTLS: true
EOF此时，假如我们仍使用原来的方式访问，访问会被拒绝。因为网关已经开始了双向 mTLS 认证，会验证客户端证书。
curl --cacert ca-cert.pem https://foo.example.com/headers --connect-to foo.example.com:443:$GATEWAY_IP:8000
curl: (52) Empty reply from server颁发客户端证书
使用前面的 CA 证书，为客户端颁发证书。
openssl genrsa -out client-key.pem 2048
openssl req -new -key client-key.pem -out client.csr -subj '/CN=example.com'
openssl x509 -req -in client.csr -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial -out client-cert.pem -days 365现在发起请求时，除了指定 CA 证书以外，还要指定客户端的证书和密钥，就能够通过网关的验证成功访问了。
curl --cacert ca-cert.pem --cert client-cert.pem --key client-key.pem https://foo.example.com/headers --connect-to foo.example.com:443:$GATEWAY_IP:8000
{
"headers": {
"Accept": "*/*",
"Host": "foo.example.com",
"User-Agent": "curl/8.1.2"
}
}